Genel Bakış: Microsoft Entra Dış Kimlik ile kiracılar arası erişim

Şunlar için geçerlidir: İş gücü kiracıları Dış kiracılar (daha fazla bilgi edinin)

Microsoft Entra kuruluşları, B2B işbirliği ve B2B doğrudan bağlantı aracılığıyla diğer Microsoft Entra kuruluşları ve Microsoft Azure bulutlarıyla işbirliğini yönetmek için Dış Kimlik kiracılar arası erişim ayarlarını kullanabilir. Kiracılar arası erişim ayarları, gelen ve giden erişim üzerinde ayrıntılı denetim sağlayarak çok faktörlü kimlik doğrulamasına (MFA) ve diğer kuruluşların cihaz taleplerine güvenmenizi sağlar.

Bu makale, B2B işbirliğini yönetmek için kiracılar arası erişim ayarlarını ve Microsoft bulutları da dahil olmak üzere dış Microsoft Entra kuruluşlarıyla B2B doğrudan bağlanmayı kapsar. Microsoft Dışı Entra kimlikleriyle (örneğin, sosyal kimlikler veya BT tarafından yönetilmeyen dış hesaplar) B2B işbirliği için diğer ayarlar kullanılabilir. Bu dış işbirliği ayarları konuk kullanıcı erişimini kısıtlama, konuk davet eden kişileri belirtme ve etki alanlarına izin verme veya engelleme seçeneklerini içerir.

Kiracılar arası erişim ayarlarında ekleyebileceğiniz kuruluş sayısının sınırı yoktur.

Gelen ve giden ayarlarıyla dış erişimi yönetme

Dış kimlikler kiracılar arası erişim ayarları, diğer Microsoft Entra kuruluşlarıyla işbirliği yapma yönteminizi yönetir. Bu ayarlar hem dış Microsoft Entra kuruluşlarındaki kullanıcıların kaynaklarınıza sahip olduğu gelen erişim düzeyini hem de kullanıcılarınızın dış kuruluşlara yönelik giden erişim düzeyini belirler.

Aşağıdaki diyagramda kiracılar arası erişim gelen ve giden ayarları gösterilmektedir. Kaynak Microsoft Entra kiracısı, paylaşılacak kaynakları içeren kiracıdır. B2B işbirliği için, kaynak kiracı davet eden kiracıdır (örneğin, dış kullanıcıları davet etmek istediğiniz şirket kiracınız). Kullanıcının ev Microsoft Entra kiracısı , dış kullanıcıların yönetildiği kiracıdır.

Varsayılan olarak, diğer Microsoft Entra kuruluşlarıyla B2B işbirliği etkinleştirilir ve B2B doğrudan bağlantı engellenir. Ancak aşağıdaki kapsamlı yönetici ayarları bu özelliklerin ikisini de yönetmenize olanak sağlar.

• Giden erişim ayarları , kullanıcılarınızın dış kuruluştaki kaynaklara erişip erişemeyeceğini denetler. Bu ayarları herkese uygulayabilir veya tek tek kullanıcıları, grupları ve uygulamaları belirtebilirsiniz.

• Gelen erişim ayarları , dış Microsoft Entra kuruluşlarının kullanıcılarının kuruluşunuzdaki kaynaklara erişip erişemeyeceğini denetler. Bu ayarları herkese uygulayabilir veya tek tek kullanıcıları, grupları ve uygulamaları belirtebilirsiniz.

• Güven ayarları (gelen), Koşullu Erişim ilkelerinizin çok faktörlü kimlik doğrulamasına (MFA), uyumlu cihaza ve kullanıcıları ev kiracılarında bu gereksinimleri zaten karşılıyorsa dış kuruluştan gelen Microsoft Entra karma katılmış cihaz taleplerine güvenip güvenmeyeceğini belirler. Örneğin, MFA'ya güvenmek için güven ayarlarınızı yapılandırdığınızda, MFA ilkeleriniz dış kullanıcılara uygulanmaya devam eder, ancak ev kiracılarında MFA'yı tamamlamış olan kullanıcıların kiracınızda MFA'yı yeniden tamamlaması gerekmez.

Varsayılan ayarlar

Varsayılan kiracılar arası erişim ayarları, özel ayarları yapılandırdığınız kuruluşlar dışında kiracınızın dışındaki tüm Microsoft Entra kuruluşları için geçerlidir. Varsayılan ayarlarınızı değiştirebilirsiniz, ancak B2B işbirliği ve B2B doğrudan bağlantı için ilk varsayılan ayarlar aşağıdaki gibidir:

• B2B işbirliği: Tüm iç kullanıcılarınız varsayılan olarak B2B işbirliği için etkinleştirilir. Bu ayar, kullanıcılarınızın kaynaklarınıza erişmek için dış konukları davet edip dış kuruluşlara konuk olarak davet edilebileceği anlamına gelir. Diğer Microsoft Entra kuruluşlarının MFA ve cihaz taleplerine güvenilmez.

• B2B doğrudan bağlantı: Varsayılan olarak B2B doğrudan bağlantı güven ilişkisi kurulmamıştır. Microsoft Entra Id, tüm dış Microsoft Entra kiracıları için tüm gelen ve giden B2B doğrudan bağlantı özelliklerini engeller.

• Kuruluş ayarları: Kuruluş ayarlarınıza varsayılan olarak hiçbir kuruluş eklenmez. Bu nedenle, tüm dış Microsoft Entra kuruluşları kuruluşunuzla B2B işbirliği için etkinleştirilir.

• Kiracılar arası eşitleme: Kiracılar arası eşitleme ile diğer kiracılardan hiçbir kullanıcı kiracınıza eşitlenmez.

Bu varsayılan ayarlar, aynı Microsoft Azure bulutundaki diğer Microsoft Entra kiracılarıyla B2B işbirliği için geçerlidir. Bulutlar arası senaryolarda varsayılan ayarlar biraz farklı çalışır. Bu makalenin devamında Yer alan Microsoft bulut ayarları bölümüne bakın.

Kuruluş ayarları

Kuruluş ekleyerek ve bu kuruluş için gelen ve giden ayarlarını değiştirerek kuruluşa özgü ayarları yapılandırabilirsiniz. Kuruluş ayarları varsayılan ayarlardan önceliklidir.

• B2B işbirliği: Belirli kullanıcılara, gruplara ve uygulamalara gelen ve giden B2B işbirliğini ve kapsam erişimini yönetmek için kiracılar arası erişim ayarlarını kullanın. Tüm dış kuruluşlar için geçerli olan bir varsayılan yapılandırma ayarlayabilir ve sonra gerektiğinde tek tek, kuruluşa özgü ayarlar oluşturabilirsiniz. Kiracılar arası erişim ayarlarını kullanarak, diğer Microsoft Entra kuruluşlarının çok faktörlü (MFA) ve cihaz taleplerine (uyumlu talepler ve Microsoft Entra karma katılmış talepler) de güvenebilirsiniz.

  İpucu

  Dış kullanıcılar için MFA'ya güvenecekseniz, dış kullanıcıları Microsoft Entra Kimlik Koruması MFA kayıt ilkesinden dışlamanızı öneririz. Her iki ilke de mevcut olduğunda dış kullanıcılar erişim gereksinimlerini karşılayamaz.

• B2B doğrudan bağlantı: B2B doğrudan bağlantı için kuruluş ayarlarını kullanarak başka bir Microsoft Entra kuruluşuyla karşılıklı güven ilişkisi kurun. Hem kuruluşunuzun hem de dış kuruluşunuzun, gelen ve giden kiracılar arası erişim ayarlarını yapılandırarak B2B doğrudan bağlantısını karşılıklı olarak etkinleştirmesi gerekir.

• Dış işbirliği ayarlarını kullanarak dış kullanıcıları davet eden kişileri sınırlandırabilir, B2B'ye özgü etki alanlarına izin verebilir veya engelleyebilir ve dizininize konuk kullanıcı erişimine yönelik kısıtlamalar ayarlayabilirsiniz.

Otomatik kullanım ayarı

Otomatik kullanım ayarı, kullanıcıların kaynağa/hedef kiracıya ilk erişişinde onay istemini kabul etmemesi için davetleri otomatik olarak kullanan bir gelen ve giden kuruluş güveni ayarıdır. Bu ayar, aşağıdaki ada sahip bir onay kutusudur:

• Kiracı<kiracısıyla davetleri otomatik olarak kullanma>

Farklı senaryolar için karşılaştırma ayarı

Otomatik kullanım ayarı, aşağıdaki durumlarda kiracılar arası eşitleme, B2B işbirliği ve B2B doğrudan bağlantı için geçerlidir:

• Kullanıcılar, kiracılar arası eşitleme kullanılarak hedef kiracıda oluşturulduğunda.
• Kullanıcılar B2B işbirliği kullanılarak bir kaynak kiracısına eklendiğinde.
• Kullanıcılar B2B doğrudan bağlantı kullanarak kaynak kiracısında kaynaklara eriştiğinde.

Aşağıdaki tabloda, bu senaryolar için etkinleştirildiğinde bu ayarın nasıl karşılaştırılması gösterilmektedir:

Bu ayar uygulama onayı deneyimlerini etkilemez. Daha fazla bilgi için bkz . Microsoft Entra Id'de uygulamalar için onay deneyimi. Bu ayar, Azure ticari ve Azure Kamu gibi farklı Microsoft bulut ortamları genelindeki kuruluşlar için desteklenmez.

Onay istemi ne zaman gizlensin?

Otomatik kullanım ayarı yalnızca hem giriş/kaynak kiracısı (giden) hem de kaynak/hedef kiracı (gelen) bu ayarı denetlediğinde onay istemini ve davet e-postasını gizler.

Aşağıdaki tabloda, otomatik kullanım ayarı farklı kiracılar arası erişim ayarı bileşimleri için denetlendiğinde kaynak kiracı kullanıcıları için onay istemi davranışı gösterilmektedir.

Giriş/kaynak kiracısı	Kaynak/hedef kiracı	Onay istemi davranışı kaynak kiracı kullanıcıları için
Giden	Gelen
		Bastırılmış
		Gizlenmedi
		Gizlenmedi
		Gizlenmedi
Gelen	Giden
		Gizlenmedi
		Gizlenmedi
		Gizlenmedi
		Gizlenmedi

Bu ayarı Microsoft Graph kullanarak yapılandırmak için bkz . CrossTenantAccessPolicyConfigurationPartner API'sini güncelleştirme. Kendi ekleme deneyiminizi oluşturma hakkında bilgi için bkz . B2B işbirliği davet yöneticisi.

Daha fazla bilgi için bkz . Kiracılar arası eşitlemeyi yapılandırma, B2B işbirliği için kiracılar arası erişim ayarlarını yapılandırma ve B2B doğrudan bağlantı için kiracılar arası erişim ayarlarını yapılandırma.

Yapılandırılabilir kullanım

Yapılandırılabilir kullanım sayesinde konuk kullanıcılarınızın davetinizi kabul ettiğinde oturum açabileceği kimlik sağlayıcılarının sırasını özelleştirebilirsiniz. Özelliği etkinleştirebilir ve Kullanım sırası sekmesinin altında kullanım sırasını belirtebilirsiniz.

Konuk kullanıcı davet e-postasında Daveti kabul et bağlantısını seçtiğinde, Microsoft Entra Id varsayılan kullanım siparişine göre daveti otomatik olarak kullanır. Yeni Kullanım siparişi sekmesinde kimlik sağlayıcısı sırasını değiştirdiğinizde, yeni sipariş varsayılan kullanım sırasını geçersiz kılar.

Hem birincil kimlik sağlayıcılarını hem de geri dönüş kimlik sağlayıcılarını Kullanım sırası sekmesinde bulabilirsiniz.

Birincil kimlik sağlayıcıları, diğer kimlik doğrulama kaynaklarıyla federasyonları olanlardır. Geri dönüş kimlik sağlayıcıları, bir kullanıcı birincil kimlik sağlayıcısıyla eşleşmediğinde kullanılanlardır.

Geri dönüş kimlik sağlayıcıları Microsoft hesabı (MSA), tek seferlik e-posta geçiş kodu veya her ikisi de olabilir. Her iki geri dönüş kimlik sağlayıcısını da devre dışı bırakamazsınız, ancak tüm birincil kimlik sağlayıcılarını devre dışı bırakabilir ve yalnızca geri dönüş kimlik sağlayıcılarını kullanım seçenekleri için kullanabilirsiniz.

Bu özelliği kullanırken aşağıdaki bilinen sınırlamaları göz önünde bulundurun:

• Var olan bir çoklu oturum açma (SSO) oturumu olan bir Microsoft Entra Id kullanıcısı, tek seferlik e-posta geçiş kodu (OTP) kullanarak kimlik doğrulaması gerçekleştiriyorsa, Başka bir hesap kullan'ı seçip OTP akışını tetikleyen kullanıcı adını yeniden kullanması gerekir. Aksi takdirde kullanıcı, hesabının kaynak kiracısında mevcut olmadığını belirten bir hata alır.

• Bir kullanıcı hem Microsoft Entra Id'sinde hem de Microsoft hesaplarında aynı e-postaya sahip olduğunda, yönetici microsoft hesabını kullanım yöntemi olarak devre dışı bıraksa bile Microsoft Entra Kimliğini veya Microsoft hesabını kullanma arasında seçim yapmak isteyip istemediğiniz sorulur. Yöntem devre dışı bırakılıyor olsa bile kullanım seçeneği olarak Microsoft hesabı seçmeye izin verilir.

Microsoft Entra Kimliği doğrulanmış etki alanları için doğrudan federasyon

SAML/WS-Fed kimlik sağlayıcısı federasyonu (Doğrudan federasyon) artık Microsoft Entra ID doğrulanmış etki alanları için desteklenmektedir. Bu özellik, Microsoft Entra'da doğrulanmış bir etki alanı için dış kimlik sağlayıcısıyla Doğrudan federasyon ayarlamanıza olanak tanır.

Konuk kullanıcı daveti kullanırken geleneksel bir onay ekranı görür ve Uygulamalarım sayfasına yönlendirilir. Kaynak kiracısında, bu doğrudan federasyon kullanıcısının profili davetin başarıyla kullanıldığını ve dış federasyonun veren olarak listelendiğini gösterir.

B2B kullanıcılarınızın Microsoft hesaplarını kullanarak davet kullanmasını engelleme

Artık B2B konuk kullanıcılarınızın davetleri kullanmak için Microsoft hesaplarını kullanmasını engelleyebilirsiniz. Bunun yerine, geri dönüş kimliği sağlayıcısı olarak e-postalarına gönderilen tek seferlik bir geçiş kodu kullanırlar. Davetleri kullanmak için mevcut bir Microsoft hesabını kullanmalarına izin verilmez ve yeni bir davet oluşturmaları istenmez. Geri dönüş kimlik sağlayıcısı seçeneklerinde Microsoft hesaplarını kapatarak bu özelliği kullanım siparişi ayarlarınızda etkinleştirebilirsiniz.

Her zaman en az bir geri dönüş kimlik sağlayıcısı etkin olmalıdır. Bu nedenle, Microsoft hesaplarını devre dışı bırakmaya karar verirseniz, e-posta tek seferlik geçiş kodu seçeneğini etkinleştirmeniz gerekir. Microsoft hesaplarıyla zaten oturum açan mevcut konuk kullanıcılar, gelecekteki oturum açma işlemleri için bunu yapmaya devam eder. Yeni ayarları bunlara uygulamak için kullanım durumlarını sıfırlamanız gerekir.

Kiracılar arası eşitleme ayarı

Kiracılar arası eşitleme ayarı, kaynak kiracı yöneticisinin kullanıcıları hedef kiracıya eşitlemesine izin veren yalnızca gelen bir kuruluş ayarıdır. Bu ayar, Kullanıcıların hedef kiracıda belirtilen bu kiracıyla eşitlenmesine izin ver adlı bir onay kutusudur. Bu ayar, el ile davet veya Microsoft Entra yetkilendirme yönetimi gibi diğer işlemler aracılığıyla oluşturulan B2B davetlerini etkilemez.

Bu ayarı Microsoft Graph kullanarak yapılandırmak için bkz . crossTenantIdentitySyncPolicyPartner API'sini güncelleştirme. Daha fazla bilgi için bkz . Kiracılar arası eşitlemeyi yapılandırma.

Kiracı kısıtlamaları

Kiracı Kısıtlamaları ayarlarıyla, kullanıcılarınızın yönettiğiniz cihazlarda kullanabileceği dış hesap türlerini denetleyebilirsiniz; örneğin:

• Kullanıcılarınızın bilinmeyen kiracılarda oluşturduğu hesaplar.
• Dış kuruluşların, bu kuruluşun kaynaklarına erişebilmeleri için kullanıcılarınıza verdiği hesaplar.

Bu tür dış hesaplara izin vermek ve bunun yerine B2B işbirliğini kullanmak için kiracı kısıtlamalarınızı yapılandırmanızı öneririz. B2B işbirliği aşağıdakileri yapabilmenizi sağlar:

• Koşullu Erişim'i kullanın ve B2B işbirliği kullanıcıları için çok faktörlü kimlik doğrulamasını zorlar.
• Gelen ve giden erişimi yönetin.
• B2B işbirliği kullanıcılarının çalışma durumu değiştiğinde veya kimlik bilgileri ihlal edildiğinde oturumları ve kimlik bilgilerini sonlandırın.
• B2B işbirliği kullanıcısı hakkındaki ayrıntıları görüntülemek için oturum açma günlüklerini kullanın.

Kiracı kısıtlamaları diğer kiracılar arası erişim ayarlarından bağımsızdır, dolayısıyla yapılandırdığınız gelen, giden veya güven ayarları kiracı kısıtlamalarını etkilemez. Kiracı kısıtlamalarını yapılandırma hakkında ayrıntılı bilgi için bkz . Kiracı kısıtlamalarını ayarlama V2.

Microsoft bulut ayarları

Microsoft bulut ayarları, farklı Microsoft Azure bulutlarından kuruluşlarla işbirliği yapmanızı sağlar. Microsoft bulut ayarları ile aşağıdaki bulutlar arasında karşılıklı B2B işbirliği oluşturabilirsiniz:

• Office GCC-High ve DoD bulutlarını içeren Microsoft Azure ticari bulutu ve Microsoft Azure Kamu
• Microsoft Azure ticari bulutu ve 21Vianet tarafından sağlanan Microsoft Azure (21Vianet tarafından işletilmektedir)

Daha fazla bilgi için B2B işbirliği için Microsoft bulut ayarlarını yapılandırma makalesine bakın.

Dikkat edilmesi gereken önemli hususlar

• Azure portalında kiracılar arası erişim ayarlarını yapılandırmak için en az Güvenlik Yöneticisine veya özel role sahip bir hesaba ihtiyacınız vardır.

• Güven ayarlarını yapılandırmak veya belirli kullanıcılara, gruplara veya uygulamalara erişim ayarları uygulamak için bir Microsoft Entra Id P1 lisansına sahip olmanız gerekir. Lisans, yapılandırdığınız kiracıda gereklidir. Başka bir Microsoft Entra kuruluşuyla karşılıklı güven ilişkisinin gerekli olduğu B2B doğrudan bağlantı için her iki kiracıda da bir Microsoft Entra Id P1 lisansına sahip olmanız gerekir.

• Kiracılar arası erişim ayarları, B2B işbirliğini ve B2B'nin diğer Microsoft Entra kuruluşlarıyla doğrudan bağlantısını yönetmek için kullanılır. Microsoft dışı Entra kimlikleriyle (örneğin, sosyal kimlikler veya BT tarafından yönetilmeyen dış hesaplar) B2B işbirliği için dış işbirliği ayarlarını kullanın. Dış işbirliği ayarları, konuk kullanıcı erişimini kısıtlamaya, konuk davet eden kişileri belirtmeye ve etki alanlarına izin verme veya engellemeye yönelik B2B işbirliği seçeneklerini içerir.

• Dış kuruluştaki belirli kullanıcılara, gruplara veya uygulamalara erişim ayarları uygulamak için, ayarlarınızı yapılandırmadan önce bilgi için kuruluşa başvurmanız gerekir. Ayarlarınızı doğru şekilde hedeflemek için kullanıcı nesne kimliklerini, grup nesne kimliklerini veya uygulama kimliklerini (istemci uygulama kimlikleri veya kaynak uygulama kimlikleri) alın.

  İpucu

  Oturum açma günlüklerinizi denetleyerek dış kuruluşlardaki uygulamaların uygulama kimliklerini bulabilirsiniz. Gelen ve giden oturum açmaları tanımlama bölümüne bakın.

• Kullanıcılar ve gruplar için yapılandırdığınız erişim ayarları, uygulamaların erişim ayarlarıyla eşleşmelidir. Çakışan ayarlara izin verilmez ve yapılandırmaya çalışırsanız uyarı iletileri görüntülenir.

  • Örnek 1: Tüm dış kullanıcılar ve gruplar için gelen erişimi engellerseniz, tüm uygulamalarınıza erişim de engellenmelidir.

  • Örnek 2: Tüm kullanıcılarınız (veya belirli kullanıcılar veya gruplar) için giden erişime izin verirseniz, dış uygulamalara tüm erişimi engellemeniz engellenir; en az bir uygulamaya erişime izin verilmelidir.

• B2B'nin bir dış kuruluşla doğrudan bağlanmasına izin vermek istiyorsanız ve Koşullu Erişim ilkeleriniz MFA gerektiriyorsa, güven ayarlarınızı dış kuruluştan gelen MFA taleplerini kabul etmek için yapılandırmanız gerekir.

• Varsayılan olarak tüm uygulamalara erişimi engellerseniz, kullanıcılar Office 365 İleti Şifrelemesi (OME) olarak da bilinen Microsoft Rights Management Service ile şifrelenmiş e-postaları okuyamaz. Bu sorunu önlemek için, kullanıcılarınızın bu uygulama kimliğine erişmesine izin vermek için giden ayarlarınızı yapılandırmanızı öneririz: 00000012-0000-0000-c000-000000000000. Yalnızca bu uygulamaya izin verirseniz, diğer tüm uygulamalara erişim varsayılan olarak engellenir.

Kiracılar arası erişim ayarlarını yönetmek için özel roller

Kiracılar arası erişim ayarlarını yönetmek için özel roller oluşturabilirsiniz. Önerilen özel roller hakkında daha fazla bilgiyi burada bulabilirsiniz.

Kiracılar arası erişim yönetim eylemlerini koruma

Kiracılar arası erişim ayarlarını değiştiren tüm eylemler korumalı eylemler olarak kabul edilir ve koşullu erişim ilkeleriyle de korunabilir. Yapılandırma adımları hakkında daha fazla bilgi için bkz . korumalı eylemler.

Gelen ve giden oturum açmaları tanımlama

Gelen ve giden erişim ayarlarını ayarlamadan önce kullanıcılarınızın ve iş ortaklarınızın ihtiyaç duyduğu erişimi belirlemenize yardımcı olacak çeşitli araçlar mevcuttur. Kullanıcılarınızın ve iş ortaklarınızın ihtiyaç duyduğu erişimi kaldırmadığınızdan emin olmak için geçerli oturum açma davranışını incelemeniz gerekir. Bu ön adımın alınması, son kullanıcılarınız ve iş ortağı kullanıcılarınız için istenen erişimin kaybını önlemeye yardımcı olur. Ancak bazı durumlarda bu günlükler yalnızca 30 gün boyunca saklanır, bu nedenle gerekli erişimin kaybolmaması için iş paydaşlarınızla görüşmenizi kesinlikle öneririz.

Kiracılar arası erişim ayarlarında yapılan değişiklikleri tanımlama

Microsoft Entra denetim günlükleri, kiracılar arası erişim ayarı değişiklikleri ve etkinliğiyle ilgili tüm etkinlikleri yakalar. Kiracılar arası erişim ayarlarınızdaki değişiklikleri denetlemek için CrossTenantAccessSettings kategorisini kullanarak tüm etkinlikleri kiracılar arası erişim ayarlarındaki değişiklikleri gösterecek şekilde filtreleyin.

Sonraki adımlar

B2B işbirliği için kiracılar arası erişim ayarlarını yapılandırma

B2B doğrudan bağlantı için kiracılar arası erişim ayarlarını yapılandırma